데이터 처리 부록(DPA) — Sustalium

1. 정의

본 DPA에 정의되지 않은 용어는 MSA에 명시된 의미를 갖습니다.

• '적용 가능한 데이터 보호 법률'은 GDPR(EU 2016/679), 네덜란드 GDPR 시행법 및 기타 관련 개인정보 보호법을 의미합니다.
• '개인 데이터'는 고객을 대신하여 Sustalium가 처리하는 식별되었거나 식별 가능한 자연인과 관련된 모든 정보를 의미합니다.
• '서비스'는 Sustalium 규정 준수 인텔리전스 플랫폼 및 관련 서비스를 의미합니다.
• '하위 처리자'는 개인 데이터를 처리하기 위해 Sustalium가 고용한 제3자를 의미합니다.
• 'SCC'는 EU 표준 계약 조항(2021/914)을 의미합니다.

2. 당사자의 역할

• 고객은 데이터 관리자입니다.
• Sustalium는 데이터 프로세서입니다.
• Sustalium는 고객의 문서화된 지침에 의해서만 개인 데이터를 처리합니다.

3. 처리의 성격, 목적 및 범위

Sustalium는 다음 목적으로만 개인 데이터를 처리합니다.

• Sustalium 플랫폼에 대한 액세스 제공
• 디지털 규정 준수 자산 생성, 확인 및 게시
• 사용자 계정 및 인증 관리
• 감사 추적 유지
• 고객 지원 제공
• 플랫폼 보안 및 탄력성 보장

Sustalium는 <strong>업계에 구애받지 않고</strong> <strong>비즈니스 맥락의 개인 데이터</strong>만 처리합니다.

4. 개인정보의 범주

고객 또는 고객의 사용자가 제공한 대로:

• 직원 이름
• 직장 이메일 주소
• 역할 및 직위
• 공급업체 연락처 정보
• 사용자 계정 식별자
• IP 주소 및 장치 메타데이터
• 사용자가 업로드한 규정 준수 문서(개인 데이터가 포함될 수 있음)
• 감사 로그 및 타임스탬프

Sustalium는 특수 카테고리 데이터를 처리하지 <strong>않습니다</strong>.

5. 데이터 주체의 범주

• 고객 직원
• 공급업체 직원
• 계약자
• 플랫폼 사용자
• 감사자(액세스 권한이 부여된 경우)

6. 프로세서 의무

Sustalium는 다음을 수행해야 합니다.

7. 하위 프로세서

고객은 Sustalium가 부속서 III에 나열된 하위 프로세서를 사용할 수 있도록 승인합니다.

• 하위 프로세서가 동등한 데이터 보호 의무를 준수하는지 확인
• 의도된 변경 사항을 고객에게 알립니다.
• 하위 프로세서 조치에 대해 전적인 책임을 집니다.

8. 국제 송금

Sustalium primarily stores data in EU GCP regions. However, certain Sub‑processors (e.g., Auth0, Microsoft SharePoint) may involve non‑EU data transfers.

• 2021 EU 표준 계약 조항(SCC)이 적용되며 부록 IV로 통합됩니다.
• Sustalium는 보완 조치(암호화, MFA, 엄격한 접근 제어)를 구현합니다.

9. 보안사고

Sustalium는 개인 데이터 침해를 인지한 후 과도한 지체 없이 고객에게 알립니다.

• 위반의 성격
• 영향을 받는 데이터의 카테고리
• 예상되는 결과
• 취해지거나 제안된 조치

10. 감사

고객은 Sustalium의 규정 준수 여부를 감사할 수 있습니다.

• 연 1회
• 30일 전 통지
• 운영을 중단하지 않고
• 문서 검토 또는 독립 감사자를 통해

11. 책임

책임은 MSA에 의해 규율됩니다.

12. 준거법

본 DPA는 네덜란드 법률의 적용을 받으며 분쟁은 네덜란드 암스테르담의 관할 법원에 제출됩니다.